Ransomware en el servidor de archivos con respaldo USB conectado

Primeros 15 minutos: contener, no limpiar.

• No pagar todavía (ni después, sin análisis): pagar no garantiza la clave, financia al atacante y suele atraer un segundo intento.
• Aislar el servidor: desconectar el cable de red de inmediato. Aquí hay una decisión con costo: apagar el servidor detiene el cifrado de los archivos que falten, pero se pierden claves y procesos en memoria que ayudarían a la investigación. Con el cifrado en curso y sin equipo forense disponible, lo razonable es desconectar la red y apagar el servidor para frenar el daño, documentando hora y estado.
• Desconectar el disco USB del servidor sin formatearlo ni abrirlo en un equipo de la red.
• Aislar el equipo de la usuaria: desconectar su red, no apagarlo, y no ejecutar el adjunto ni el archivo de rescate. Ese equipo es la escena del delito.

De 15 a 60 minutos: cortar accesos y preservar evidencia.

• Restablecer la contraseña de la cuenta afectada y de todas las cuentas con acceso al servidor; cerrar sesiones activas.
• Buscar el mismo remitente en el resto de buzones y purgarlo antes de que alguien más lo abra.
• Documentar con fotografías y hashes: nombres de archivos cifrados, extensión, nota de rescate, hora del primer archivo afectado, versión del antivirus. No borrar nada.

De 60 a 120 minutos: comunicar. Informar a dirección, al proveedor de TI y a la aseguradora; evaluar denuncia ante la autoridad competente y, si hay datos personales comprometidos, la obligación de reporte correspondiente. Designar un único vocero: la filtración de que la empresa está caída también tiene costo.

Diagnóstico del respaldo actual. Hay tres problemas y basta uno para que no sirva:

1. Estaba conectado y montado en el servidor. El ransomware cifra unidades montadas, incluidas las letras de red y los discos USB. Hay que verificar en un equipo aislado y sin red si el disco está cifrado; es probable que sí.
2. Frecuencia mensual. El RPO (cuánto dato se puede perder) es de hasta 30 días. Para contabilidad y facturación, perder un mes de trabajo no es aceptable; el objetivo razonable es 24 horas o menos.
3. Sin pruebas de restauración. Un respaldo que nunca se restauró no es un respaldo: el RTO (cuánto tarda volver a operar) es desconocido y, con un solo disco USB, la restauración de 45 usuarios tomaría días.

Qué cambiar, en orden:

• Regla 3-2-1: tres copias, en dos medios distintos, una fuera de la sede.
• Al menos una copia offline o inmutable (snapshots con retención, almacenamiento con bloqueo de objetos). Desconectar el disco al terminar la copia ya es una mejora enorme y cuesta cero.
• Copias diarias incrementales y semanales completas, con verificación automática de integridad.
• Credenciales separadas: la cuenta del sistema de respaldo no debe ser de dominio ni tener acceso a las carpetas que respalda en modo escritura.
• Prueba de restauración documentada cada trimestre, midiendo tiempo real de recuperación y dejando acta.

Conclusión: el respaldo actual probablemente no sirve ni para recuperar ni para negociar; el plan debe asumir que los datos se reconstruyen desde cero y priorizar la copia inmutable antes que cualquier otra compra.

Causas raíz, de la más estructural a la más circunstancial: permisos de control total para «Todos» en las carpetas compartidas; usuarios administradores locales de su PC; ausencia de MFA; ausencia de filtrado de adjuntos y de bloqueo de macros; respaldo conectado y sin probar; falta de plan de respuesta y de segmentación. El correo con zip malicioso fue el detonante, no la causa.

Orden por costo/impacto (primero lo que cuesta cero):

1. Permisos: eliminar «Todos: control total», reemplazar por grupos por área con permisos de lectura/escritura según rol. Costo cero, impacto máximo: limita cuánto puede cifrar un incidente futuro.
2. Quitar la administración local vía directiva de grupo y usar una cuenta de soporte con contraseña administrada. Costo cero, corta buena parte de la ejecución de malware y de la instalación de software no autorizado.
3. Respaldos: rotación de discos que se desconectan al terminar, más una copia en nube con retención. Costo bajo, altísimo impacto; es la única medida que garantiza continuidad.
4. Correo: bloquear archivos comprimidos con ejecutables, bloquear macros de Office que vengan de internet, activar MFA en el correo y en el acceso remoto. Costo bajo si ya se tiene la suscripción.
5. Concientización y procedimiento: una regla simple y una persona de contacto para reportar correos sospechosos sin miedo a represalias.
6. EDR, segmentación de red y parcheo formal: mayor costo, se difiere al siguiente trimestre.

Sobre pagar el rescate: la dirección debe entender que el pago no restaura la confianza ni la operación, no elimina la vulnerabilidad que permitió el ataque y deja a la empresa como objetivo conocido. La inversión defendible es la de los puntos 1 a 3, que cuestan casi nada y cambian el resultado de la próxima vez.